Die Kryptobörse Bybit hat beim U.S. District Court for the District of Columbia eine Zivilklage gegen die Demokratische Volksrepublik Korea (DPRK), ihr Reconnaissance General Bureau und die Lazarus Group wegen des Diebstahls von 1,5 Milliarden US-Dollar von der Börse im Februar 2025 eingereicht. Unbekannte Personen und Entitäten, die die gestohlenen Mittel halten oder bewegen, werden als John Doe-Beklagte benannt.

Ein Richter erließ eine einstweilige Verfügung, die die Übertragung oder Veruntreuung identifizierter gestohlener Vermögenswerte untersagt, während der Fall weiterläuft, und kam zu dem Schluss, dass Bybit in der Sache wahrscheinlich Erfolg haben wird, teilte die Börse am Freitag mit. Bereits bei einer früheren einstweiligen Verfügung hatte das Gericht den Diebstahl als einen der größten eingestuft, den die Krypto-Branche je gesehen hat.

Die Lazarus Group ist die staatlich verbundene Hackergruppe, die US-Behörden für den Angriff verantwortlich machen. Der Gruppe werden mehrere große Kryptodiebstähle zugeschrieben, darunter der 620-Millionen-Dollar-Einbruch beim Ronin Network im Jahr 2022, und Berichte des UN-Expertengremiums dokumentieren Nordkoreas wachsende Abhängigkeit von Kryptodiebstahl, um internationale Sanktionen zu umgehen und Waffenprogramme zu finanzieren.

"Es war ein Angriff auf das Vertrauen in unserer Branche", sagte Bybit-Mitgründer und CEO Ben Zhou in einer Stellungnahme am Donnerstag und fügte hinzu, dass die Börse vor der Anrufung der Gerichte mit Ermittlern, Börsen, Aufsichtsbehörden und Strafverfolgungsbehörden zusammengearbeitet habe.

Bybit teilte mit, dass rund 48,4 Millionen US-Dollar wiederhergestellt und etwa 30,5 Millionen US-Dollar über mehr als 28 Börsen und Verwahrstellen eingefroren wurden, was zusammen ungefähr 5% des gestohlenen Gesamtbetrags entspricht.

Wie der Angriff ablief

Die Angreifer entzogen im Februar 2025 einer Bybit-Cold-Wallet rund 500.000 ETH, nachdem sie eine Signieroberfläche manipuliert hatten, die den Freigebenden die korrekte Zieladresse anzeigte, während die zugrunde liegende Logik der Wallet verändert wurde. Zhou sagte damals, die Börse sei zahlungsfähig und könne den Verlust tragen.

Bis April sagte Zhou, dass rund 69% der Erlöse noch nachverfolgbar seien, 28% seien abgetaucht und 4% eingefroren worden. Der Großteil des gestohlenen Ethereum sei über Thorchain in Bitcoin umgewandelt und über Mixer wie Wasabi, Tornado Cash und Railgun geleitet worden. Cross-Chain-Swaps über dezentrale Protokolle und Privacy-Mixer sind zu einem gängigen Geldwäscheweg für gestohlene Kryptowährungen geworden, da sie Gelder über mehrere Blockchains fragmentieren und die Rückgewinnung von der Zusammenarbeit über verschiedene Jurisdiktionen hinweg abhängiger machen.

Im Juni verfolgten griechische Behörden einen Teil der Gelder zu einer Wallet auf einer inländischen Börse und erließen eine Beschlagnahmeanordnung.

Laufende Zusammenarbeit

Bybit sagte, dass das Zivilverfahren parallel zu strafrechtlichen Ermittlungen laufe und dass man weiterhin Blockchain-Intelligence mit Behörden einschließlich des FBI teile. Die Börse verwies auf die Stilllegung der Börse eXch durch Deutschland sowie auf die Zerschlagung von Cryptomixer.io durch deutsche und schweizerische Behörden als Beleg für diese Zusammenarbeit.

Eine souveräne Nation vor einem US-Bundesgericht wegen Kryptodiebstahls zu verklagen ist ungewöhnlich, obwohl die Einstufung der DPRK als staatlicher Sponsor des Terrorismus unter bestimmten US-Gesetzen einen rechtlichen Weg für solche Ansprüche eröffnet.

Die Verfahren laufen weiter.